[■] Gestor de contenidos

WordPress

Web oficial

43.919 expedientes en el radar

Comprueba tu versión de WordPress Sólo las que se están explotando

[■] Para hacerlo bien

Guías

Actualizar WordPress, plugins y temas sin romper la web
Qué se actualiza solo en WordPress, cómo prepararte antes de actualizar, qué hacer si algo se rompe y qué significan los avisos de plugins abandonados.
Cómo leer una vulnerabilidad: CVE, CVSS y «se está explotando»
Qué significan el identificador CVE, la puntuación CVSS, el catálogo KEV y la probabilidad EPSS, y cómo saber si tu versión está afectada.
Lo básico para proteger WordPress
Las medidas que recomienda la documentación oficial de WordPress para proteger una web: accesos, verificación en dos pasos, wp-config.php, permisos, HTTPS y copias.
Qué versión de PHP usa tu web y por qué tiene que tener soporte
Cómo saber qué PHP tiene tu web, qué ramas reciben hoy parches de seguridad y cuándo dejan de recibirlos, y qué pide WordPress.
Mi WordPress ha sido hackeado: qué hacer, paso a paso
Cómo saber si tu web WordPress está comprometida, qué hacer en la primera hora, cómo limpiarla y cómo pedir a Google que quite el aviso.

[■] Registro

Vulnerabilidades (43.919)

7,5 Alta

CVE-2026-87770: inyección SQL en Price Drop Alert for Woo Commerce

CVE-2026-87770

T−60d 16 sept. 2026
5,3 Media

CVE-2026-85009: acceso a datos de otros usuarios (IDOR) en RestroPress – Online Food Ordering System

CVE-2026-85009

T−60d 16 sept. 2026
4,3 Media

CVE-2026-84904: falta de autorización en King Addons for Elementor – 100+ Elementor Widgets, 4 000+ Elementor Templates, WooCommerce Builder, Mega Menu, Popup Builder

CVE-2026-84904

T−60d 16 sept. 2026
4,3 Media

CVE-2026-89029: falta de autorización en Blog2Social: Social Media Auto Post & Scheduler

CVE-2026-89029

T−60d 16 sept. 2026
4,7 Media

CVE-2026-81810: gestión incorrecta de privilegios en All-in-One WP Migration and Backup

CVE-2026-81810

T−60d 16 sept. 2026
4,3 Media

CVE-2026-16557: exposición de información sensible en Nimble Page Builder

CVE-2026-16557

T−60d 16 sept. 2026
7,2 Alta

CVE-2026-84738: inyección de código en AF Companion – AI SEO, GEO, Alt Text, Performance & Site Health

CVE-2026-84738

T−60d 16 sept. 2026
4,3 Media

CVE-2026-81340: acceso a datos de otros usuarios (IDOR) en MasterStudy LMS WordPress Plugin – for Online Courses and Education

CVE-2026-81340

T−60d 16 sept. 2026
7,2 Alta

CVE-2026-85127: cross-site scripting (XSS) en VikBooking Hotel Booking Engine & PMS

CVE-2026-85127

T−60d 16 sept. 2026
7,5 Alta

CVE-2026-89063: acceso a datos de otros usuarios (IDOR) en Online Scheduling and Appointment Booking System – Bookly

CVE-2026-89063

T−61d 15 sept. 2026
6,4 Media

CVE-2026-5920: cross-site scripting (XSS) en Bold Page Builder

CVE-2026-5920

T−61d 15 sept. 2026
6,1 Media

CVE-2026-18555: cross-site scripting (XSS) en Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots

CVE-2026-18555

T−61d 15 sept. 2026
7,2 Alta

CVE-2026-18595: cross-site scripting (XSS) en WP-Lister Lite for eBay

CVE-2026-18595

T−61d 15 sept. 2026
6,4 Media

CVE-2026-11996: cross-site scripting (XSS) en Advanced Popups

CVE-2026-11996

T−61d 15 sept. 2026
5,3 Media

CVE-2026-11984: falta de autorización en Ad Inserter – Ad Manager & AdSense Ads

CVE-2026-11984

T−61d 15 sept. 2026
6,5 Media

CVE-2026-16588: inyección SQL en WP Directory Kit

CVE-2026-16588

T−61d 15 sept. 2026
6,4 Media

CVE-2026-5924: cross-site scripting (XSS) en Getwid – Gutenberg Blocks

CVE-2026-5924

T−61d 15 sept. 2026
8,8 Alta

CVE-2026-78088: subida de ficheros peligrosos en Contest Gallery Commerce – Upload, Vote & Sell with PayPal & Stripe

CVE-2026-78088

T−61d 15 sept. 2026
9,8 Crít.

CVE-2026-14349: falta de autorización en TrueBooker – Appointment Booking and Scheduler System

CVE-2026-14349

T−61d 15 sept. 2026
9,8 Crít.

CVE-2026-12793: gestión incorrecta de privilegios en JetFormBuilder — Dynamic Blocks Form Builder

CVE-2026-12793

T−61d 15 sept. 2026
9,8 Crít.

CVE-2026-62104: inyección de código en Migratico Lite

CVE-2026-62104

T−61d 15 sept. 2026
7,2 Alta

CVE-2026-90650: cross-site scripting (XSS) en MotoPress Hotel Booking

CVE-2026-90650

T−61d 15 sept. 2026
7,2 Alta

CVE-2026-85130: cross-site scripting (XSS) en WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode

CVE-2026-85130

T−61d 15 sept. 2026
7,2 Alta

CVE-2026-87786: cross-site scripting (XSS) en Dewa Kirim – WooCommerce Gojek / Gosend

CVE-2026-87786

T−61d 15 sept. 2026
9,8 Crít.

CVE-2026-86710: vulnerabilidad en Login with QR

CVE-2026-86710

T−61d 15 sept. 2026
7,5 Alta

CVE-2026-87963: inyección SQL en Yo

CVE-2026-87963

T−61d 15 sept. 2026
6,1 Media

CVE-2025-15697: cross-site scripting (XSS) en Dictionary

CVE-2025-15697

T−61d 15 sept. 2026
5,3 Media

CVE-2026-87792: falta de autorización en design-scuole-wordpress-theme

CVE-2026-87792

T−61d 15 sept. 2026
5,3 Media

CVE-2026-91008: acceso a datos de otros usuarios (IDOR) en Event Booking Manager for WooCommerce – Sell Tickets, Event Registration, RSVP & Event Calendar

CVE-2026-91008

T−61d 15 sept. 2026
9,8 Crít.

Vulnerabilidad en Admin Menu Editor Pro

T−61d 15 sept. 2026